XRP arz sınırını aşırabilecek açık kapatıldı: Tek işlemde 18,45 trilyon XRP üretilebilirdi

XRP Ledger’da (XRPL), arz sınırını aşarak tek işlemde yaklaşık 18,45 trilyon XRP üretmeye imkân verebilecek ödeme motoru açığı yamalandı. XRPL geliştiricileri, açığın halka açık ağda istismar edildiğine dair kanıt bulunmadığını açıkladı.

XRPL, 25 Eylül’de sunucu yazılımı xrpld’nin 3.4.1 sürümünü acil olarak yayımladı. XRPL’nin 9 Ekim’de yayımladığı güvenlik raporuna göre ödeme motoru, birden fazla merkeziyetsiz borsadaki emirleri aynı anda işlerken gereken toplam XRP miktarını yanlış hesaplayabiliyordu. Bu durum tam sayı taşmasına yol açabiliyordu. Saldırgan, özel olarak hazırlanmış emirler ve tek bir ödeme kullanarak yeni XRP üretebilir ve harcayabilirdi.

XRPL raporu, açığın ödeme motorunun yazıldığı 2015’ten beri mevcut olabileceğini belirtti. Güvenlik şirketi Veria Labs, açığın istismar edilmesi durumunda tek işlemde yaklaşık 18,45 trilyon XRP üretilebileceğini hesapladı. Bu miktar, XRPL’nin başlangıçtaki 100 milyar XRP arz sınırının 184 katından fazla. Ancak bu yalnızca olası üretim miktarını ifade ediyor; XRP’nin gerçekten üretildiği veya ağın zarar gördüğü anlamına gelmiyor.

Hata, birden fazla emrin ödeme tutarları toplanırken ortaya çıkıyordu. Toplam değer tam sayı sınırını aşarsa sonuç küçük bir sayıya dönebiliyor, böylece satıcı emir tutarının tamamını alırken alıcı çok daha az XRP ödeyebiliyordu. XRPL raporuna göre yeni XRP üretimini engelleyen defter kontrolünde de ayrı bir aritmetik hata bulunuyordu ve bu hata işlemin reddedilmesini önleyebilirdi.

Veria Labs açığı 22 Eylül’de bildirdi, düzeltme ertesi gün sisteme eklendi. XRPL, 3.4.1 sürümünü 25 Eylül’de yayımladı ve aynı gün varsayılan doğrulayıcı listesindeki doğrulayıcıların yüzde 80’inden fazlasının yeni sürüme geçtiğini açıkladı. Veria Labs, açığın bir yapay zekâ güvenlik ajanı tarafından bulunduğunu ve ajanın test ortamında çalışan bir saldırı kodu oluşturduğunu bildirdi.

Yamanın uygulanması, XRPL’nin olağan protokol değişikliği sürecinden farklıydı. Protokol değişiklikleri genellikle doğrulayıcıların desteğini topladıktan sonra belirli bir sürenin ardından etkinleştiriliyor. Bu taşma düzeltmesi ise sunucular yeni sürüme yükseltilir yükseltilmez uygulandı. XRPL, olağan süreç izlenirse düzeltilmiş kodun yayımlanmasıyla ağın korunması arasında açığın görünür durumda kalabileceği için acil dağıtımı tercih ettiğini belirtti.

3.4.1 sürümü, toplu işlemler özelliğindeki ayrı bir açığın düzeltmesini de içeriyordu. XRPL, bu düzeltmeyi 9 Ekim’de ana ağda etkinleştirdi. XRP taşması yaması sunucu güncellemesiyle birlikte uygulanırken toplu işlem düzeltmesi ayrı bir etkinleştirme sürecinden geçti. Bu olay, arz sınırının fiilen aşıldığı bir durum değil; ödeme hesaplamasındaki hata ile arz sınırını koruyan mekanizmadaki olası hatanın birlikte kullanılmasının önüne geçen bir güvenlik müdahalesiydi.